信息系统安全复习
1.掌握信息系统安全的基本需求；
完整性（integrity）指信息在存储或传输过程中保持不被修改、不被破坏、不被插入、不延迟、不乱序和不丢失的特性。
保密性(confidentiality)是指严密控制各个可能泄密的环节，使信息在产生、传输、处理和存储的各个环节不泄漏给非授权的个人和实体。
可用性(availability)是指保证信息确实能为授权使用者所用，即保证合法用户在需要时可以使用所需信息，防止由于主客观因素造成系统拒绝服务。
可控性（controllability）指信息和信息系统时刻处于合法所有者或使用者的有效掌握与控制之下 。
不可否认性(incontestable)。是指保证信息行为人不能否认自己的行为 。
安全架构5A方法论；
安全架构5A方法论:无论是进行IT产品安全架构设计或评估，还是规划安全技术体系架构的时候，都有几个需要重点关注的逻辑模块，它们可在逻辑上视为安全架构的5A核心元素：
1.身份认证(Authentication):用户主体是谁？
2.授权(Authorization):授予某些用户主体允许或拒绝访问客体的权限。
3.访问控制(Access Control)：控制措施以及决定是否放行的执行者。
4.可审计(Auditable):形成可供追溯的操作日志。
5.资产保护(Asset Protection):资产(数据+资源)的保密性、完整性、可用性和隐私性等保障。数据，即信息资产，包括结构化数据和非结构化数据，不仅包括存储的数据，也包括使用、传输中的数据；资源包括网络资源、计算资源、存储资源、进程和网络服务等。
安全技术体系架构的二维模型；
安全防御基础设施、安全工具和技术、安全组件与支持系统等，共同构建了安全技术体系。安全技术体系架构就是安全技术体系的主要组成部分及组成部分之间的关系，以便系统性地增强安全防御能力。
当我们观察安全技术体系时，如果只用一个维度，首选就是安全架构的5个核心元素5A。但如果只用这一个维度，会与其他要素混淆，如身份认证，就有网络层身份认证(802.1X等)、主机层身份认证(SSH)、应用层身份认证(SSO)等，为了更加清晰直观地描述这些要素，有必要增加一个维度(网络分层)：
1. 应用和数据层；2. 设备和主机层； 3. 网络和通信层；4. 物理和环境层。
如果维度超过2个，则安全技术架构看起来将异常复杂(实际上也超过2个了，还有如数据生命周期，产品生命周期等)，难以表达也不容易理解。
因此，我们建议只用两个维度(5A+网络分层)来描述安全技术体系架构。
2.信息系统防御策略的基本原则；
信息系统安全体系属于典型的防御体系，在构建防御体系过程中应坚持下列原则
1.最小特权原则
2.纵深防御
3.建立控制点
4.监测和消除薄弱连接
5.失效保护原则
6.普遍参与
7.防御多样化
8.简单化原则
1.最小特权原则
其实质是任何实体（用户、管理员、进程、应用和系统等）仅有该主体需要完成其被指定任务的所必须的权力，此外没有更多的特权。最小特权可以尽量避免将信息系统资源暴露在侵袭之下。
在信息系统安全设计中，对于每个用户并不需要使用所有的网上服务；不是所有用户需要去修改（甚至去读）系统中的每一个文件；每一个用户并不需要都知道系统的根口令；每个系统管理员也没有必要都知道系统的根口令等，这些可以说是最小特权的例子。
2.纵深防御
安全体系不要只依靠单一安全机制和多种安全服务的堆砌，应该建立互相支撑的多种安全机制，建立具有协议层次和纵向结构层次（信息流方向）的完备体系。通过多层机制互相支撑来获取整个信息系统的安全。
3.建立控制点
在网络系统对外连接的通道上建立控制点，可以使系统管理人员对网络进行监控连接，对攻击者进行监视和控制。
在网络信息安全系统中，位于站点与Internet之间的防火墙就是一个控制点的典型例子。任何一个从公共网络侵袭站点的操作都必须通过这个对侵袭起防御作用的控制点，系统管理人员应当在网络运行中监视这些侵袭并在发现它们时进行基于策略的处理。
4.监测和消除薄弱连接
系统安全的强度取决于系统连接最薄弱环节（脆弱性）的安全态势，强的坚固程度取决于它最薄（脆）弱点的坚固特性。精明的攻击者总要找出系统的弱点，并集中力量对其进行攻击。系统管理人员应意识到网络系统防御中的弱点，以便采取措施进行加固或消除它们的存在，同时也要监测那些无法消除的缺陷的安全态势。对待安全的各个方面要同样重视而不能有所偏重。例如，不能只重视保护Telnet连接而放任FTP连接。
5.失效保护原则
安全保护的另一个基本原则就是失效保护，一旦系统运行错误，当其发生故障时必须拒绝侵袭者的访问，更不允许侵袭者跨入内部网络。当然也存在一旦出现故障，可能导致合法用户也无法使用信息资源的情况，但这是确保系统安全必须付出的代价。
网络信息系统中的多数应用都是按失效保护原则设计的。例如，包过滤路由器如果出现故障，将不允许任何数据包进出；一个代理服务器出现故障，将不提供服务。
6.普遍参与
为了使安全机制更为有效，绝大部分安全系统要求员
工普遍参与，以便集思广益来规划设计网络的安全体系和
安全策略，发现问题，使网络系统的安全设计更加完善。
一个安全系统的运行需要全体人员共同维护。系统的安全
单纯依靠系统管理员或安全管理员维护同样是危险的。
7.防御多样化
通过使用大量不同的系统提供纵深防御而获得额外的
安全保护一样，也能通过使用大量不同类型、不同等级的
系统得到额外的安全保护。
防御多样化的意义是使用不同厂商的安全保护系统，
降低因普遍的错误或配置错误而危及整个系统。但是，对
于系统的复杂性和互操作性却是需要考虑的另一个问题，
应提防虚假的多样性，例如，可能存在共同的缺陷或漏洞
8.简单化原则
简单化作为一种安全保护策略有两方面的含义；一是
让事物简单便于理解；二是复杂化会为所有的安全带来隐
藏的漏洞，直接威胁网络安全。
3.掌握TCP/IP协议的基础知识;
重点掌握IPV6,IPV4,HTTP等协议;
4.了解主流操作系统及其安全问题;
三大操作系统和各类嵌入式操作系统
DOS/Windows系列
MacOS系列
Unix/Linux系列
移动终端，工业控制等各类嵌入式
操作系统
祖宗：MS-DOSx
桌面系列：
Windows 3.x Windows XP
服务器系列：
Windows NT 3.x Windows .Net
MacOS一度十分强大，在GUI（图形用户界面）方面曾经颇具优势
MacOS有传统的应用领域（如出版），但总体上说在PC市场正在衰落
但随着iPhone智能手机的热销，新一代操作系统 Mac OS X 在中国很有市场
几大商业UNIX系统
IBMAIX
SUNSolaris
HPHP-UX
SGIIRIX
SCOSCO UNIX
两大免费UNIX系统
Free BSD
Linux
UNIX中的权限码;
由9个二进制位组成
0表示禁止，1表示允许
从高到低的九个二进制位依次表示
属主是否可读、可写、可执行
同组用户是否可读、可写、可执行
其他用户是否可读、可写、可执行
5.掌握缓冲区溢出等网络攻击与防范的基本原理;
现象：给函数传递超出预期大小的参数，使系统进入异常状态
后果：取得对目标系统的部分或全部控制权
程序运行时，缓冲区实行的是一种弹性的管理
就是说，为一个变量分配的空间对该变量事实上的大小没有任何强制性的约束力
比如你定义一个变量是20字节的字符串，但实际上你把一个长度为40字节的字符串用strcpy()函数拷贝给它的时候，多出的20字节就要挤占为其它其他变量安排的空间；再不够，甚至还要挤占为函数调用返回地址安排的空间
这种现象就是缓冲区溢出，一般会造成越界，得到荒谬的结果，严重的会导致“开当铺”——segmentation fault (core dumped)
数据和程序在存储形态上没有区别，它们的区别是根据程序执行的逻辑在具体使用中确定的
于是，攻击者可以做这样的事情：美其名曰向一个变量拷贝数据，但这个数据中可以包含代码，可以包含指向该代码的返回指针，经过精心设计，在溢出发生时可转向执行具有特定攻击意图的代码
这就是缓冲区溢出攻击之所以成立的根本前提和依据
为了达到攻击目的，攻击者必须达到如下的两个目标：
在程序的地址空间里安排适当的代码
通过适当地初始化寄存器和存储器，让程序跳转到我们安排的地址空间执行
精确测定指向攻击代码的返回地址
或者，在攻击代码前面一定范围内用一批空指令“NOP”填充，只要返回地址落在这个范围内，总可以经过执行若干步空指令后开始执行攻击代码
预防：
编写正确的代码
非执行的缓冲区
数组边界检查
Compaq C 编译器
Jones & Kelly: C的数组边界检查
Purify：存储器存取检查
类型-安全语言
程序指针完整性检查
手写的堆栈监测
堆栈保护：编译器生成的有效纪录完整性检测
指针保护：编译器生成程序指针完整性检查
堆栈保护方法和非执行缓冲区方法对于当前绝大多数的攻击都能有效地防御，指针保护的方法可以对剩下的攻击进行有效的防御
兼容性和性能的考虑
注意跟踪最新的安全事件报告和漏洞报告，及时升级、打补丁
安装IDS，很多缓冲区溢出漏洞有明确的攻击特征串
一般不容易发现，发现时要及时切断网络连接，更换超级用户口令
缓冲区溢出只是引子，它引导执行的那段攻击代码却可以千差万别，各自造成的损失（比如网页被黑，文件被盗被破坏等）有各自的应对办法
6.了解恶意代码的基础知识;
通过未经用户授权的渠道传播并执行的、具有恶意执行效果的计算机程序，称为恶意代码（Malware）
计算机病毒（Virus）是恶意代码的典型代表，具有通过操作系统或网络自我复制的能力
后门（Backdoor）、特洛伊木马（Trojan Horse）、逻辑炸弹（Logical Bomb）不具备自我复制的能力，但也属于恶意代码的范畴
广义定义
能够引起计算机故障,破坏计算机数据的程序都统称为计算机病毒。
狭义定义
病毒程序通过修改(操作)而传染其他程序,即修改其他程序使之含有病毒自身的精确版本或可能演化的版本、变种或其他病毒繁衍体。
可见，计算机病毒的广义定义差不多就相当于恶意代码
非授权可执行性
隐蔽性
传染性
潜伏性
表现性或破坏性
可触发性
分类
计算机病毒
通过自我复制传播，带有不同程度的破坏性
后门
通过特殊手段植入或预留，用以绕开正常的访问控制机制进入系统
特洛伊木马
通过特殊手段植入，用以进行远程控制
逻辑炸弹
通过特殊手段植入，用以耗尽目标系统资源
7.掌握DES、RSA、SHA等算法与相应的国产密码算法（SM1,SM2,SM3,SM4）的基本思想与应用原理;
SM1算法，该算法是由国家密码管理局编制的一种商用密码分组标准对称算法，分组长度和密钥长度均为128位，算法的安全保密强度及相关软硬件实现性能与AES算法相当，目前该算法尚未公开，仅以IP核的形式存在于芯片中。
SM2算法，该算法是一种基于ECC算法的非对称密钥算法，其加密强度为256位，其安全性与目前使用的RSA1024相比具有明显的优势。
（椭圆加密算法（ECC）是一种公钥加密体制，最初由Koblitz和Miller两人于1985年提出，其数学基础是利用椭圆曲线上的有理点构成Abel加法群上椭圆离散对数的计算困难性。公钥密码体制根据其所依据的难题一般分为三类：大素数分解问题类、离散对数问题类、椭圆曲线类。有时也把椭圆曲线类归为离散对数类。 ）
SM3算法，该算法也叫密码杂凑算法，属于哈希（摘要）算法的一种，杂凑值为256位，和SM2算法一起被公布。功能与MD5，SHA-1相同。产生256位的编码。该算法位不可逆的算法。具体算法也是保密的。
SM4算法，该算法为对称加密算法，随WAPI标准一起被公布，其加密强度为128位。此算法是一个分组算法，用于无线局域网产品。该算法的分组长度为128比特，密钥长度为128比特。加密算法与密钥扩展算法都采用32轮非线性迭代结构。解密算法与加密算法的结构相同，只是轮密钥的使用顺序相反，解密轮密钥是加密轮密钥的逆序。
SM7对称密码，SM7算法是一种分组密码算法，分组长度为128比特，密钥长度为128比特。SM7的算法文本目前没有公开发布。SM7适用于非接IC卡应用包括身份识别类应用（门禁卡、工作证、参赛证），票务类应用（大型赛事门票、展会门票），支付与通卡类应用（积分消费卡、校园一卡通、企业一卡通、公交一卡通）。
8.掌握数字签名与认证(实体认证和消息认证)的基本原理;
数字签名是笔迹签名的模拟。数字签名是一种包括防
止源点或终点否认的认证技术。
数字签名必须保证以下三点：
（1）接收者能够核实发送者对报文的签名；
（2）发送者事后不能抵赖对报文的签名；
（3）接收者不能伪造对报文的签名。
2.直接数字签名
（1）采用公开密钥的数字签名
使用发方的私钥对消息M进行数字签名
3.需仲裁的数字签名
（1）对称加密，仲裁能看到消息
（2）对称加密，仲裁不能看到消息
（3）公开密钥加密，仲裁不能看到消息
1.单向认证
（2）无需第三方参与的单向认证
2.双向认证
认证（Authentication）是防止主动攻击的重要技术，
是保证信息完整性、有效性的技术，即要搞清楚与之通信的
对方身份是否真实，又要证实信息在传输过程中是否被篡改
、伪装、窜扰、否认。
认证主要分为两个方面：
实体认证，即验证信息发送者是真的，而不是冒充的，包括信源、信宿等的认证和识别；
消息认证，验证信息的完整性，即验证数据在传输或存储过程中未被窜改、重放或延迟等。
消息认证通常采用的方法：
采用MAC的消息认证
使用哈希函数的消息认证
实体认证： 1.身份证明系统组成
一方是出示证件的人，称作示证者P（Prover），又称作申请者（Claimant），提出某种要求；
另一方为验证者V（verifier），检验示证者提出的证件的正确性和合法性，决定是否满足其要求；
第三方是攻击者，可以窃听和伪装示证者，骗取验证者的信任。
认证系统在必要时也会有第四方，即可信赖者参与调解纠纷。
4.实现身份证明的基本途径
所知。个人所知道的或所掌握的知识，如密码、口令等。
所有。个人所具有的东西，如身份证、护照、信用卡、钥匙等。
个人特征。身份证明的基本途径指纹、笔迹、声纹、手型、脸型、血型、视网膜、虹膜、DNA以及个人一些动作方面的特征等。
根据安全水平。系统通过率、用户可接受性、成本等因素，可以
选择适当的组合设计实现一个自动化身份证明系统。
IC卡认证
9.掌握数字证书,PKI,CA等的概念;
数字证书是网络用户的身份证明，相当于现实生活中的个人身份证。
数字证书提供了一种系统化的、可扩展的、统一的、容易控制的公钥分发方法。是一个防篡改的数据集合，它可以证实一个公开密钥与某一最终用户之间的捆绑。为了提供这种捆绑关系，需要一组可信第三方实体来担保用户的身份。第三方实体称为证书颁发机构CA，它向用户颁发数字证书，证书中含有用户名、公开密钥以及其他身份信息。由于这些信息都由证书颁发机构对之进行了数字签名，就形成一个证明这个公开密钥可靠性的证书，因而现在就可以传输和存储这些证书了。
为管理公开密钥（生成、认证、存储、安装），须建立
一套公钥基础设施（PKI- Public Key Infrastructure）。PKI的
基本组成元素是证书颁发机构（CA-Certificate Authority），
PKI主要完成功能：
①为用户生成一对密钥（公开密钥，私有密钥），并通过一定的途径分发给用户；
②CA为用户签发数字证书，形成用户的公开密钥信息，并通过一定的途径分发给用户；
③对用户证书的有效性进行验证；
④对用户的数字证书进行管理。这些管理包括有效证书的公布、撤销证书的公布（有时也称证书黑名单表的维护）、证书归档等。
在大型网络中，这样的证书颁发机构(CA)有多个。如果这些CA之间存在信赖关系，则用户就可通过一个签名链去设法认证其中任一CA所签发的证书。
概括地说，PKI就是对这些公开密钥证书的管理体制。
4.3.3 PKI的构成
策略批准机构（PAA）
策略控制机构（PCA）
认证机构（CA）
在线证书申请（ORA）
策略批准机构（PAA）：在整个PKI体系中处于核心位置。创建整个PKI系统的方针、策略，批准本PAA下属的PCA的策略，为下属PCA签发公钥证书。
策略控制机构（PCA）：制定下属CA的具体策略，可以是上级PAA策略的扩充或细化。
认证机构（CA）：具备有限的策略制定功能，按照上级PCA制定的策略，担任具体的用户公钥证书的签发、生成和发布及CRL生成及发布职能。
在线证书申请（ORA） ：进行证书申请者的身份认证，向CA提交证书申请，验证接收CA签发的证书，并将证书发放给申请者。
.证书颁发机构
CA认证中心充当可信的第三方，通过对一个包含身份信息和相应公钥的数据结构进行数字签名来捆绑用户的公钥和身份，这个数据结构被称为公钥证书（简称证书）。证书机构主要负责对用户的密钥或证书发放、更新、废止、认证等管理工作。
CA分为两类：公共CA通过Internet运作，向大众提供认证服务；这类CA不仅对最终用户进行认证，而且还对组织认证。私有CA通常在一个公司的内部或者其他的封闭的网络内部建立，为它们的网络提供更强的认证和访问控制。
小结：
公钥基础设施（PKI）是一个一定范围内的相互信任的基础设施，它是一种遵循标准的密钥管理平台。为管理公开密钥提供公钥生成、公钥认证、公钥存储、公钥安装等服务。PKI的构建主要围绕着认证机构、证书库、密钥备份及恢复系统、证书作废处理系统、客户端证书处理系统等基本部分来进行。PKI的基本组成元素为证书颁发机构CA。
10.掌握防火墙与入侵检测系统的基本思想与应用原理;
第五章
侦测：判定攻击的存在及其有关性质
以通信参数所满足的特定条件为依据的侦测，称为静态侦测
以通信内容所满足的特定条件为依据的侦测，称为动态侦测
本节主要介绍静态侦测技术和以静态侦测结果为依据的网络封锁系统——防火墙
防火墙部署在一个网络与其他网络相连接的必经要道上，把网络世界分割成内部和外部
防火墙以静态的方式侦测进出网络内部的通信参数，符合条件的通信予以放行，不符合条件的通信予以截断
封锁：阻断攻击
隔离：事先从静态结构上切断可用于攻击的所有隐通道
取证：记录与攻击有关的证据
恢复：清除攻击带来的影响，进入常态
- 通信参数是关于本次通信的信息
- 通信内容是本次通信要传达的信息
- 通信参数一般通过各层协议的包头来定义和指定，具有相对固定的格式和位置
- 通信内容一般在各层协议的静荷之中，不具有相对固定的格式和位置
分类：
包过滤型防火墙
依据源/目的IP地址，源/目的端口号，协议类型（五元组）对IP包进行侦测和封锁的防火墙
应用网关型防火墙
按照用户ID、目的URL等应用层通信参数对通信协议进行侦测和封锁的防火墙
复合型防火墙
同时具有上述二者的功能
屏蔽路由器（Screening Router）
双宿主网关（Dual Host Gateway）
屏蔽主机网关（Screened Gateway）
被屏蔽子网（Screened Subnet）
11.了解IPSec, SSL安全协议在VPN与WEB上的作用;
IPSec在保护IP网络以便提供私密通信中发挥着重要的作用
第九章
由于Web上有时要传输重要或敏感的数据，Netscape公司在推出Web浏览器首版的同时，提出了安全通信协议SSL（Secure Socket Layer）。
目的是在Internet基础上提供一种基于会话加密和认证的安全协议。 SSL协议已成为Internet上保密通讯的工业标准。现行Web浏览器普遍将HTTP和SSL相结合，从而实现安全通信。
SSL协议有以下三个特性
保密性。因为在握手协议定义了会话密钥后，所有的消息都被加密。
确认性。因为尽管会话的客户端认证是可选的，但是服务器端始终是被认证的。
可靠性。因为传送的消息包括消息完整性检查（使用MAC）。
SSL协议分为两层协议。
一层是SSL记录协议（SSL Record Protocol），它建立在可靠的传输协议（如TCP）之上，为更高层提供基本的安全服务，如提供数据封装、压缩、加密等基本功能的支持。
另一层是建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。它由三个协议组成：
SSL握手协议（SSL Handshake Protocol）
SSL修改密文规约协议（SSL Change Cipher Spec Protocol）
SSL告警协议（SSL Alert Protocol），如图 9‑2所示。
SSL中协议中两个重要概念 ：
SSL连接（connection）：在OSI分层模型的定义中，连接是提供一种合适类型服务的传输。而SSL的连接是点对点的关系。连接是暂时的，每一个连接和一个会话关联。
SSL会话（session）：一个SSL会话是在客户与服务器之间的一个关联。会话由握手协议创建。会话定义了一组可供多个连接共享的加密安全参数。会话用以避免为每一个连接提供新的安全参数所付出昂贵的代价。
SSL协议有以下三个特性
保密性。因为在握手协议定义了会话密钥后，所有的消息都被加密。
确认性。因为尽管会话的客户端认证是可选的，但是服务器端始终是被认证的。
可靠性。因为传送的消息包括消息完整性检查（使用MAC）。
SSL协议的思想是基于传输控制层协议(例如TCP)建立一个安全的网络连接层。 简单来说,就是应用层和传输层之间多了一个安全套接层
12.了解数字版权保护技术, 信息隐藏技术的概念, 对等网(P2P)的特点;
数字版权保护技术：在数字作品的电子商务中
如何在作品中打上财产的不可去除的印记？
如何在流通中为侵权者设立不可逾越的技术壁垒？
定义：
为使对数字版权的侵权在技术上和法律上承担更大风险而采取的技术手段
分类：
事前措施：加密法，基于公钥证书和许可证，让侵权成为徒劳，便于持续访问控制
事后措施：标记法，如数字水印、数字指纹，为财产打上印记，便于法律责任追究
事前措施——DRM(Digital Rights Management)
事前措施基于密码学原理，即某些数学问题的难解性
事前措施的实质，是对数字内容进行持续访问控制
事后措施——Watermarking
事后措施基于数据隐藏原理，即某些数据嵌入/隐藏操作的相对不可逆性
事前措施和事后措施是相辅相成的，具有很好的互补性
在一个数字对象中嵌入另一个数字对象（数字水印），要求做到
视觉等效性：嵌入前和嵌入后在视觉上没有明显差异
可提取性：嵌入后的数字对象（数字水印）可用特定的程序提取出来
不可去除性：一旦在A中嵌入B，很难恢复没有B的A
抗破坏性（鲁棒性）：不管对嵌入对象后的实体（A+B）实施何种数学变换，都很难影响对B的提取
对等网的提出，在网络计算模型的历史上具有划时代的意义
对等网彻底打消了客户-服务器模式，变成了点对点模式
点对点模式有着广阔的发展前途，当然可以用于善，也可以用于恶
它营造了一个网中之网，在其中没有哪一台机器是中心服务器，所有的机器（只要用户愿意）都可以成为信息发布的平台的一部分
信息存储是高度分布式的和高度冗余的，自动向“人气”旺盛的地方迁移演化
信息路由是局部自适应的和彻底匿名的
信息加密存储，发布者不知道自己发布的信息存储在哪里
阅读者无法得知自己阅读的信息是从什么地方发布上去的
对等网给内容安全带来的影响
信息发布的责任边界变得模糊：由于没有中心服务器，只有一个存储资源共享的匿名“社区”，管理者很难追溯信息发布者及其相应的责任
“网中之网”的存储和通信完全加密，将给内容监听带来困难
不容易发现稳定的特征，将给内容过滤带来困难
对等网给网络安全带来的影响
病毒等恶意代码的传播更不易受到控制
信息隐藏不但隐藏了信息的内容而且隐藏了信息的存在性
13.了解数字取证分析的基本思想与应用原理；
14. 了解安全管理中的“罪与非罪”；计算机信息系统安全保护等级划分准则；信息系统安全保护等级的定级要素。
GB17859-1999《计算机信息系统安全保护等级划分准则》 -安全保护的五个等级及适用范围
本标准规定了计算机系统安全保护能力的五个等级，即：
第一级：用户自主保护级；
第二级：系统审计保护级；
第三级：安全标记保护级；
第四级：结构化保护级；
第五级：访问验证保护级。
本标准适用计算机信息系统安全保护技术能力等级的划分。计算机信息系统安全保护能力随着安全保护等级的增高，逐渐增强。
浙公网安备 33010602011771号